[단독공격] 분석 — CVE-2022-20700

• 심각도 critical · CVSS 10.0 · EPSS 0.05655 · 악용난이도 easy · KEV

• 공격 표면 : 라우터의 웹 관리 인터페이스(HTTP/HTTPS 80·443) 및 내부 서비스(API 엔드포인트)에서 입력을 파싱하는 모듈이 메모리‑오버플로우(CWE‑122, CWE‑124) 취약점을 포함하고 있음.
• 트리거 조건 : 외부 네트워크에서 인증 없이 특수히 조작된 HTTP POST/GET 혹은 JSON‑API 요청을 전송하면, 파라미터 길이 검증 부재(AC:L)와 직접 메모리 접근(PR:N, UI:N)이 결합되어 커널 레벨 코드 실행이 가능해짐.
• 공격 단계
  1. 정찰 – 포트 스캔·서비스 탐지로 관리 인터페이스가 외부에 노출돼 있음을 확인하고, 펌웨어 버전 정보를 HTTP / HTTPS 헤더 또는 디폴트 페이지에서 추출.
  2. 초기 접근 – 위 조건을 만족하는 악의적인 요청을 전송해 메모리‑오버플로우를 유발, 즉시 루트 권한(RCE) 획득(CVSS AV:N/AC:L/PR:N/UI:N).
  3. 권한 확보·지속 – 얻은 시스템 권한으로 임의 바이너리를 /tmp에 배치하고 rc.local 혹은 cron‑job을 등록해 부팅 시 자동 실행, 또한 관리자 계정을 생성하거나 기존 인증 정보를 탈취함.
  4. 영향 – 완전한 명령 실행·네트워크 트래픽 스니핑·무단 펌웨어 교체·서비스 거부(DoS)까지 확장 가능.

교차검증 : 다중 소스에서 일관성이 확인됐으며, CVSS 10.0·AV:N/AC:L/PR:N/UI:N 조건이 실제 공격에 그대로 매핑됩니다.

악용 가능성: 이 취약점은 네트워크에 직접 노출된 라우터(Network‑exposed)에서 인증·권한 없이(Privilege Required = None) 원격으로 접근할 수 있으므로, 공격자는 별도의 내부 침투 단계 없이 바로 악용이 가능합니다. CVSS 벡터의 AC:L(저난이도)과 UI:N(사용자 상호작용 없음)은 취약점 트리거가 자동화된 스크립트나 툴만으로 충분함을 의미합니다. EPSS 0.05655는 5 % 수준 이상의 실제 공격 가능성을 나타내며, KEV에 등재돼 있다는 점은 이미 악용 사례가 보고된 실전 위협임을 뒷받침합니다. 노출되는 엔드포인트는 라우터의 웹 관리 인터페이스(HTTP/HTTPS)와 CLI API이며, 취약한 파라미터는 인증·세션 처리 로직과 펌웨어 업데이트 경로에 존재합니다. 공격자는 해당 URL이나 API 호출만으로 임의 코드 실행, 권한 상승, 무단 명령 수행 등을 연쇄적으로 진행할 수 있습니다. 따라서 방어 입장에서는 외부에서 접근 가능한 관리 포트와 자동화된 요청을 차단하는 것이 가장 시급합니다.

• 라우터 전체 제어권 획득 → 내부 LAN 및 VPN 트래픽 전부 탈취·조작 가능.
• 임의 펌웨어(서명되지 않은 이미지) 설치로 영구적인 백도어 심기.
• 서비스 중단(Denial‑of‑Service)으로 기업 네트워크 가용성 상실.

• 유형 : 메모리‑코루전(CWE‑119, CWE‑122) → 권한 상승(Privilege Escalation) → 원격 코드 실행(Remote Code Execution).
• 현재 보고된 CVE 외에 동일 라우터 시리즈에서 발견된 인증 우회·디폴트 크레덴셜(CWE‑287) 취약점과 결합하면, 초기 정찰 단계 없이 바로 RCE를 수행할 수 있음(추정: 체이닝 가능).

• 네트워크 : 관리 포트(80/443)로 들어오는 비정상적인 HTTP 요청 길이·패턴(예: 과도한 헤더, 비정형 JSON) 감시.
• 시스템 로그 : 커널 패닉, 메모리 오류, 서비스 재시작 이벤트, syslog에 “segmentation fault” 혹은 “watchdog reset” 기록 탐지.
• IDS/IPS : 위와 같은 특수 요청 서명(패턴 기반) 및 비정상적인 프로세스 생성 시 알림 설정.

1. 즉시 조치 – 모든 영향을 받는 RV340/RV345 시리즈 라우터를 공식 펌웨어 1.0.03.24 이상으로 업데이트(패치 적용).
2. 관리 인터페이스 제한 – 외부에서의 HTTP/HTTPS 접근을 방화벽 ACL 또는 VPN 터널로만 허용하고, 관리 포트는 내부망에 격리.
3. 불필요 서비스 비활성화 – 사용하지 않는 API·SNMP·Telnet 등을 차단하여 공격 표면 축소.
4. 로그 및 모니터링 강화 – 관리자 로그인·시스템 재부팅·펌웨어 교체 이벤트를 실시간으로 SIEM에 전송하고, 이상 징후 발생 시 즉시 격리 절차 수행.

위 조치를 24 시간 이내에 적용하시길 권고드립니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.05655 · exploit=easy · in_scope=None